El derecho de supresión (artículo 17 del RGPD, también llamado «derecho al olvido») permite pedir que se borren los datos cuando ya no son necesarios, se retira el consentimiento, la persona se opone o se trataron ilícitamente. No se aplica a lo que la ley obliga a conservar, como facturas o historias clínicas: esos datos se bloquean. La empresa tiene un mes para responder.
El derecho de supresión es el derecho de una persona a que borres sus datos cuando ya no tienes motivo para tenerlos. Es la antigua «cancelación» de los derechos ARCO y el RGPD lo llama también «derecho al olvido» (artículo 17). Tienes un mes para responder. Pero no siempre puedes borrarlo todo: lo que la ley te obliga a guardar se conserva bloqueado.
¿Cuándo tienes que borrar?
El artículo 17.1 del RGPD obliga a suprimir los datos, sin dilación indebida, cuando se da alguno de estos casos:
- Ya no son necesarios para el fin para el que los recogiste. Un candidato que no fue seleccionado hace tiempo, un presupuesto que nunca se aceptó.
- La persona retira su consentimiento y no hay otra base legal. Un suscriptor de tu boletín que se da de baja.
- Se opone al tratamiento y no prevalecen otros motivos legítimos tuyos, o se opone a recibir publicidad.
- Se trataron ilícitamente, por ejemplo una base de datos comprada sin base legal.
- Una ley obliga a borrarlos.
- Se recogieron de un menor en relación con servicios de la sociedad de la información, en los términos del artículo 8.1 del RGPD.
¿Cuándo puedes decir que no?
El artículo 17.3 excluye la supresión cuando el tratamiento es necesario, entre otros casos, para cumplir una obligación legal, por razones de interés público en salud pública, con fines de archivo, investigación o estadística en los términos del artículo 89.1, para ejercer la libertad de expresión e información, o para formular, ejercer o defender reclamaciones.
En una pyme, el motivo más habitual es la obligación legal de conservar:
| Datos | Por qué no se pueden borrar todavía |
|---|---|
| Facturas, libros y justificantes del negocio | El Código de Comercio obliga a conservarlos seis años desde el último asiento (art. 30.1), salvo que otra norma diga otra cosa. La normativa fiscal también exige conservar la documentación. |
| Historia clínica (clínicas, fisioterapia, dentistas) | La Ley 41/2002 obliga a conservarla como mínimo cinco años desde el alta de cada proceso asistencial (art. 17.1). |
| Nóminas, contratos y documentación laboral | Las normas laborales y de Seguridad Social obligan a conservarla un tiempo. |
| Datos de una reclamación o un impago en curso | Los necesitas para defenderte o reclamar (art. 17.3.e RGPD). |
Esto no significa decir «no» sin más. Borras lo que no tienes obligación de guardar (el correo de publicidad, la ficha de marketing, las notas de seguimiento) y bloqueas el resto.
Suprimir es bloquear primero
El artículo 32 de la LOPDGDD obliga a bloquear los datos cuando se suprimen. Bloquear es identificarlos y apartarlos con medidas técnicas y organizativas para que nadie los use ni los vea, salvo para ponerlos a disposición de jueces, tribunales, Ministerio Fiscal o administraciones competentes (incluida la AEPD) si se exigen responsabilidades. Solo se mantienen durante el plazo en que esas responsabilidades pueden reclamarse; después hay que destruirlos.
Ejemplos de bloqueo en la práctica:
- La ficha del cliente se marca como «baja», desaparece de los listados y de las campañas, y solo la puede consultar el administrador.
- Las facturas siguen en contabilidad, pero el cliente sale de la agenda y del programa de citas.
- El expediente de un antiguo empleado pasa a un archivo cerrado al que solo accede la gerencia.
Si tu programa no permite bloquear, la ley admite hacer una copia segura que acredite la autenticidad, la fecha del bloqueo y que no se ha manipulado (artículo 32.4).
El caso de la publicidad: guarda lo justo para no volver a escribirle
Si alguien se opone a recibir publicidad y pide que borres sus datos, la LOPDGDD te permite conservar sus datos identificativos necesarios para no volver a enviarle publicidad (artículo 15.2). Es la lógica de una lista de exclusión: si borras su correo y luego vuelves a cargar una base de datos antigua, le escribirás otra vez. Ese dato se guarda solo para eso. Si haces campañas, te interesa también la lista Robinson.
Cómo responder paso a paso
- Anota la fecha. Tienes un mes, ampliable dos más si es complejo, avisando dentro del primer mes (artículo 12.3 RGPD). Es gratis.
- Comprueba la identidad si tienes dudas razonables (artículo 12.6 RGPD). Borrar los datos de otra persona por error también es un problema.
- Busca dónde están: programa de gestión, correo, hojas de cálculo, papel, la herramienta de envíos, el CRM, las copias de seguridad. Tu registro de actividades te lo dice.
- Separa lo que debes conservar por ley (se bloquea) de lo que no (se borra).
- Avisa a los destinatarios a los que comunicaste los datos, salvo que sea imposible o desproporcionado (artículo 19 RGPD). Por ejemplo, la plataforma de envío de boletines o el encargado que lleva tus campañas.
- Si publicaste los datos (en tu web, en redes), toma medidas razonables para informar a quien los esté tratando de que la persona pide borrar enlaces y copias (artículo 17.2 RGPD).
- Responde por escrito diciendo qué has borrado, qué has bloqueado, por qué y hasta cuándo. Si no atiendes la solicitud, explica el motivo e informa de que puede reclamar ante la AEPD (artículo 12.4 RGPD).
- Guarda constancia de la solicitud y la respuesta: la prueba es tuya (artículo 12.4 LOPDGDD).
¿Y las copias de seguridad?
Las copias de seguridad también contienen datos personales. Lo razonable es documentar que, si un día se restaura una copia, se volverán a aplicar las supresiones hechas desde entonces, y que las copias se sobrescriben en un ciclo conocido. Lo que no vale es restaurar una copia antigua y volver a escribir a quien pidió que le borraras.
Lista de comprobación
- Tienes definidos los plazos de conservación de cada tratamiento. Sin ellos no sabes qué puedes borrar.
- Sabes cómo bloquear en tu programa de gestión, o cómo hacer la copia segura.
- Mantienes una lista de exclusión para quien no quiere publicidad.
- Tu política de privacidad dice dónde ejercer los derechos. Revisa tu web con la herramienta gratuita.
- Guardas cada solicitud con su respuesta.
Los demás derechos están resumidos en derechos ARCO; el de corregir datos, en derecho de rectificación. Los plazos de conservación de cada tratamiento forman parte de la documentación que te preparamos en Adapta RGPD, y nos puedes consultar cuando te llegue una solicitud.
Preguntas frecuentes
¿El derecho de supresión y el derecho al olvido son lo mismo?
El RGPD los regula en el mismo artículo 17. El «derecho al olvido» se usa sobre todo para la supresión en internet, por ejemplo cuando quien publicó los datos debe informar a otros para que borren enlaces y copias.
¿Puedo negarme a borrar los datos de un cliente?
Puedes negarte a borrar lo que la ley te obliga a conservar, como facturas o historias clínicas, o lo que necesites para una reclamación. Esos datos se bloquean. El resto debes suprimirlo y explicar al cliente qué has hecho.
¿Cuánto tiempo tiene una empresa para borrar mis datos?
Debe responder en un mes desde que recibe la solicitud, ampliable dos meses más si es compleja, avisando dentro del primer mes. El RGPD pide que la supresión se haga sin dilación indebida.
Si me doy de baja de la publicidad, ¿pueden seguir teniendo mi correo?
Sí, pero solo los datos identificativos necesarios para no volver a enviarte publicidad, como en una lista de exclusión. No pueden usarlos para nada más (artículo 15.2 de la LOPDGDD).
